Luka XSS w wtyczce Custom Admin Menu dla WordPress (CVE-2025-13071)

Co wiadomo

Wtyczka Custom Admin Menu dla WordPress w wersjach do 1.0.0 nie oczyszcza i nie zabezpiecza odpowiednio parametru przed wyświetleniem, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Luka ta może zostać wykorzystana przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wykonania złośliwego kodu w kontekście przeglądarki administratora, co może skutkować przejęciem sesji, zmianą ustawień lub innymi działaniami na poziomie administracyjnym. W efekcie zagrożone są integralność i bezpieczeństwo zarządzanych stron opartych na WordPress z zainstalowaną podatną wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Custom Admin Menu u jej dostawcy i wdrożenie najnowszej wersji. W przypadku braku łatki warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów ochrony przed XSS oraz edukację użytkowników o ryzyku kliknięcia w podejrzane linki.

Źródła

• NVD
• Reference